أصبحت العقود الذكية لإيثريوم ملاذًا جديدًا للهاكر لإخفاء البرامج الضارة.

مؤخراً، كشف فريق البحث في ReversingLabs عن اكتشاف مقلق: هاكر يقومون باستغلال العقود الذكية Ethereum بذكاء لإخفاء عناوين البرمجيات الخبيثة. تُظهر هذه التحقيقات أن المهاجمين يستخدمون حزم البرمجيات npm colortoolv2 وmimelib2 كأداة تحميل، وبمجرد اكتمال التثبيت، ستقوم بالاستعلام عن العقود الذكية Ethereum للحصول على تعليمات المرحلة الثانية من البرمجيات الخبيثة ومعلومات بنية التحكم (C2).

قالت الباحثة في ReversingLabs، لوتسيا فالنتيك، إن هذه الطريقة الهجومية مبتكرة للغاية وغير مسبوقة، حيث نجحت في تجاوز آليات الفحص التقليدية، التي عادة ما تشير إلى عناوين الويب المشبوهة في نصوص حزمة البرمجيات.

البرامج الضارة مخبأة ببراعة في blockchain

هاكر利用 خصائص العقود الذكية في Ethereum لإخفاء الشيفرة الخبيثة داخل ملف index.js الذي يبدو عاديًا. عند التنفيذ، يقوم هذا الملف بالوصول إلى البلوكشين للحصول على تفاصيل خادم C2. تشير دراسة ReversingLabs إلى أن هذه الطريقة في الاستفادة من استضافة البلوكشين تمثل علامة على دخول استراتيجيات التهرب إلى مرحلة جديدة.

قام الباحثون بإجراء مسح واسع النطاق على GitHub واكتشفوا أن هذه الحزم npm تم تضمينها في مستودعات تتنكر كروبوتات عملات مشفرة، مثل Solana-trading-bot-v2 و Hyperliquid-trading-bot-v2 وغيرها. تتنكر هذه المستودعات كأدوات احترافية، ولديها العديد من التقديمات والحاويات والنجوم، لكنها في الواقع كلها زائفة.

هاكر التمويه المتقن والتطور المستمر

أظهرت الأبحاث أن الحسابات التي قامت بتنفيذ عمليات تقديم أو نسخ مستودعات الأكواد أنشئت في يوليو ولم تظهر أي نشاط ترميز. معظم الحسابات تضم ملف README في مستودعاتها. تم إنشاء عدد التقديمات من خلال برامج آلية بشكل مصطنع، بهدف المبالغة في نشاط الترميز. على سبيل المثال، معظم التقديمات المسجلة كانت مجرد تغييرات في ملفات الترخيص، وليس تحديثات جوهرية.

اكتشف الباحثون أنه بمجرد اكتشافهم، يقوم هاكر بسرعة بتحويل الاعتماد إلى حسابات مختلفة. بعد اكتشاف colortoolsv2، انتقلوا لاستخدام mimelibv2، ثم انتقلوا إلى mw3ha31q و cnaovalles، مما أدى إلى تضخم عدد الطلبات وزرع الاعتمادات الضارة.

ربطت ReversingLabs هذا الحدث بشبكة Ghost الخاصة بـ Stargazer، وهي نظام حسابات منسق يهدف إلى زيادة مصداقية مستودعات البرمجيات الخبيثة. كانت أهداف هذا الهجوم هم المطورون الذين يبحثون عن أدوات العملات المشفرة مفتوحة المصدر، والذين قد يخطئون في إحصاءات GitHub المبالغ فيها كمؤشرات على حسابات شرعية.

التهديدات المستمرة التي تواجه نظام بيئة البلوكشين

الهجوم الذي تم اكتشافه هذه المرة ليس حالة منعزلة. في مارس 2025، اكتشفت ResearchLabs حزم npm ضارة أخرى، حيث قامت هذه الحزم بتعديل حزمة Ethers الشرعية باستخدام شفرة تمكين shell العكسي. بالإضافة إلى ذلك، تم اكتشاف حزمتين من npm تحتويان على شفرة ضارة وهما Ether-provider2 و ethers-providerZ.

استعرض الماضي، في ديسمبر 2024، تم اختراق حزمة ultralytics في PyPI واستخدامها لنشر برامج ضارة لتعدين العملات المشفرة، بالإضافة إلى حالات استخدام منصات موثوقة مثل Google Drive وGitHub Gist لإخفاء الشيفرة الضارة، كل ذلك يظهر تنوع هذه الأنواع من الهجمات. وفقًا للأبحاث، تم تسجيل 23 حدثًا متعلقًا بالعملات المشفرة في عام 2024، تتعلق بمشكلات البرمجيات الضارة وتسرب البيانات.

نصائح الأمان وآفاق المستقبل

أكدت الباحثة في ReversingLabs، فالنتيك، أن هذا الاكتشاف يبرز أن استراتيجيات المهاجمين الخبيثين لتجنب الكشف ضد المشاريع مفتوحة المصدر والمطورين تتطور بسرعة. وحذرت المطورين من أنه يجب عليهم تقييم شرعية المكتبات مفتوحة المصدر بعناية قبل اعتمادها، حيث يمكن التلاعب بمؤشرات مثل عدد النجوم، وعدد التقديمات، وعدد القائمين على الصيانة بسهولة.

على الرغم من أن حزمة npm المعنية قد أزيلت وتم إغلاق حساب GitHub المعني، إلا أن هذا الحدث يكشف أن نظام تهديدات البرمجيات يتطور باستمرار. يحتاج المطورون وخبراء الأمن إلى البقاء يقظين واتخاذ تدابير تحقق أكثر صرامة لمواجهة هذه التهديدات المتزايدة التعقيد.